#1.selinux
内核级加强型防火墙
1）针对文件，会对系统中每个文件添加安全上下文（context）
2)针对进程，会对系统中的每个进程添加安全上下文（context）
3）会在系统服务上设定sebool开关
4）当进程安全上下文和文件的安全上下文不匹配时，那么进程无法访问此文件
5）sebool会限制服务的不安全功能，如果需要用此功能，必须调整sebool值
#2.管理selinux
1)selinux的开关
vim /etc/sysconfig/selinux
SELINUX=enforcing ##selinux开启，并且级别为强制
SELINUX=permissive ##selinux开启，并且级别为警告
SELINUX=disabled ##selinux关闭
注意：当linux从关到开，或者从开到关，需要重启系统
2）selinux中对文件安全上下文的设定
[root@localhost ~]# touch /mnt/file
[root@localhost ~]# mv /mnt/file /var/ftp
[root@localhost ~]# touch /mnt/file1
[root@localhost ~]# cp /mnt/file1 /var/ftp/
[kiosk@foundation30 Desktop]$ lftp 172.25.254.130
lftp 172.25.254.130:~> ls ##file1是复制过来的，ftp服务的可以访问安全上下文public_content_t，file是移动过来的，ftp服务不能访问安全上文mnt_t，将他的安全上下文改为public_content_t就可以访问了，用chcon修改安全上下文public_content_t
-rw-r--r-- 1 0 0 0 Nov 11 03:49 file1
drwxr-xr-x 2 0 0 6 Aug 03 2015 pub
lftp 172.25.254.130:/> quit
[root@localhost ~]# ls /var/ftp/ -Z ##列出/var/ftp的安全上下文（由于file是移动过来的他的安全上下文还是原来的）
-rw-r--r--. root root unconfined_u:object_r:mnt_t:s0 file
-rw-r--r--. root root unconfined_u:object_r:public_content_t:s0 file1
drwxr-xr-x. root root system_u:object_r:public_content_t:s0 pub
[root@localhost ~]# chcon -t public_content_t /var/ftp/file ##修改/var/ftp/file 的安全上下文为public_content_t，ftp就可以访问到了
[kiosk@foundation30 Desktop]$ lftp 172.25.254.130
lftp 172.25.254.130:~> ls
-rw-r--r-- 1 0 0 0 Nov 11 03:48 file ##fpt可以访问
-rw-r--r-- 1 0 0 0 Nov 11 03:49 file1
drwxr-xr-x 2 0 0 6 Aug 03 2015 pub
lftp 172.25.254.130:/> quit
##临时更改适用于更改文件
修改selinux的安全上下文
chcon -t 一次性定制安全上下文，执行restorecon刷新后还原 文件
[root@localhost ~]# mkdir /qq
[root@localhost ~]# touch /qq/qq{1..10}
[root@localhost ~]# vim /etc/vsftpd/vsftpd.conf
[root@localhost ~]# systemctl restart vsftpd.service
[root@localhost ~]# chcon -t public_content_t /qq/
[root@localhost ~]# chcon -R -t public_content_t /qq/
reboot
内核级的安全上下文，用semanage fcontext -l查看
#永久修改更改安全上下文
semanage fcontext
[root@localhost ~]# semanage fcontext -a -t public_content_t
a:添加 t：类型
[root@localhost ~]# semanage fcontext -a -t public_content_t '/qq(/.)?' #更改此目录内核级的安全上下文
[root@localhost ~]# semanage fcontext -l | grep qq
/qq(/.)? all files system_u:object_r:public_content_t:s0
[root@localhost ~]# ls -Zd /qq/ #列出目录的安全上下文
drwxr-xr-x. root root unconfined_u:object_r:public_content_t:s0 /qq/
[root@localhost ~]# restorecon -RvvF /qq/ #刷新安全上下文
[kiosk@foundation30 Desktop]$ lftp 172.25.254.130
lftp 172.25.254.130:~> ls
-rw-r--r-- 1 0 0 0 Nov 11 05:41 qq1
-rw-r--r-- 1 0 0 0 Nov 11 05:41 qq10
-rw-r--r-- 1 0 0 0 Nov 11 05:41 qq2
-rw-r--r-- 1 0 0 0 Nov 11 05:41 qq3
-rw-r--r-- 1 0 0 0 Nov 11 05:41 qq4
-rw-r--r-- 1 0 0 0 Nov 11 05:41 qq5
-rw-r--r-- 1 0 0 0 Nov 11 05:41 qq6
-rw-r--r-- 1 0 0 0 Nov 11 05:41 qq7
-rw-r--r-- 1 0 0 0 Nov 11 05:41 qq8
-rw-r--r-- 1 0 0 0 Nov 11 05:41 qq9
lftp 172.25.254.130:/> quit
#selinux的bool值的设定
管理selinux布尔值
selinux布尔值是更改selinux策略行为的开关。selinux是可以启用或禁用的规则。安全管理员可以使用selinux来调整策略，以有选择地进行调整。许多软件包都具有man page *_selinux(8),其中详细说明了所使用的一些布尔最值；man -k '_selinux' 可以轻松的找到这些手册
getsebool 用于显示布尔值
sebool值是控制服务功能开关，用于修改布尔值
getsebool -a | grep 服务名称
setsebool -P bool值 on|off
[root@localhost ~]# getsebool -a | grep ftp
ftp_home_dir --> off
[root@localhost ~]# setsebool -P ftp_home_dir on
p：永久
[root@localhost ~]# getenforce
Enforcing
[kiosk@foundation30 Desktop]$ lftp 172.25.254.130 -u student
Password:
lftp student@172.25.254.130:~> ls
lftp student@172.25.254.130:~> put /etc/passwd
2367 bytes transferred
lftp student@172.25.254.130:~> ls
-rw-r--r-- 1 1000 1000 2367 Nov 11 06:02 passwd
lftp student@172.25.254.130:~> quit
#selinux排错
监控selinux冲突
必须安装setroubleshoot-server软件包，才能将selliunx消息发送至/var/log/messages
setroubleshoot-server侦听/var/log/audit/audit.log中的审核信息并将简短摘要发送至/var/log/messages
/var/log/audit/audit.log 用于在该文件中生成所有事件的报告
本文转自Uniqueh51CTO博客，原文链接： http://blog.51cto.com/13363488/2048868，如需转载请自行联系原作者
